Ing. Calogero Bono
WordPress 7.1.4是10月28日发布的安全版本，修复了一个漏洞，该漏洞允许攻击者在核心更新期间在服务器上执行代码。美国CISA已确认该漏洞CVE-2026-119977正在被利用，并已列入KEV目录。这一点很关键，因为攻击无需网站账户。如果你管理WordPress网站，这次更新不能再拖延。
在进入事实之前，先了解几个术语。 CVE是用于标识已知漏洞的编号。TOCTOU（time-of-check time-of-use）是一种竞争条件，即在检查与使用某项资源之间，资源发生了变化。RCE指远程代码执行。KEV是CISA收录已证实被利用漏洞的目录。存储型XSS是保存在网站中、并呈现给访问者的恶意脚本。
CVE-2026-119977漏洞是什么？
据WordPress官方公告，这是更新过程中的一个弱点，可能导致在升级窗口期间发生远程代码执行。报告者是Picus Security的研究员Umut Bayram。
据BleepingComputer报道，问题源于完整核心更新期间使用了可预测且可通过网络访问的临时路径。据The Hacker News，其CVSS评分为8.1，属于高危，而攻击复杂度较高。
这个漏洞的实际利用情况如何？
CISA已将该漏洞加入KEV目录，并要求美国联邦民用机构在2026年11月6日前完成修复。该机构还呼吁私营企业优先安装补丁。
这些数字来自Wordfence，因此属于一家安全公司的说法。BleepingComputer报告24小时内拦截了13,095次攻击。The Hacker News提到前21小时内对“setup-config.php”路径的超过18,500次请求，以及另一个24小时窗口内的12,632次被拦截攻击。Previdian在10月30日记录到针对其蜜罐的三次尝试。
WordPress 7.1.4还修复了什么？
该版本不仅限于升级。官方清单包括核心中多个区块和功能里的存储型XSS漏洞。
- Categories区块、Playlist和图片区块、评论分页区块
- Interactivity API，包含多个XSS以及一个拒绝服务情况
- Customizer，包含一个XSS，以及匿名用户可发现未发布变更集的问题
- 个人数据删除请求以及经过精心构造的用户名
此外还修复了没有编辑权限的特权用户可读取备注的问题，以及因eMudhra被撤销而更新的根证书。
为什么2026年对WordPress核心来说是艰难的一年？
据BleepingComputer，7月安全团队修复了wp2shell利用链，它由REST API批处理路由的混淆问题（CVE-2026-63030）和一个SQL注入（CVE-2026-60137）组成。公开的利用代码在补丁发布一天后出现。
9月，一名使用中文的攻击者利用该链，从小型企业和公共机构的超过18,500条数据库记录中窃取数据。这一先例表明，从补丁发布到遭受攻击之间的时间非常短。想深入了解，可以参阅我们的WordPress安全指南，其中介绍了基本防护措施。
需要了解的局限
我们不知道攻击者是谁，也不知道有多少网站被入侵。CISA没有公布利用细节，被拦截攻击的数据来自Wordfence，不同来源的时间窗口也各不相同。针对较旧分支（直至4.7）的修复仍在推进中，准备好后会陆续发布。
对数字工作者意味着什么
如果自动更新尚未开始，请立即从仪表盘的“更新”菜单升级到7.1.4。如果你没有固定的更新流程，我们的不影响网站运行的更新策略是个不错的起点。为客户管理大量网站的人，还应检查那些容易被遗忘的站点。安全插件指南中对比的防火墙有一定帮助，但不能替代补丁。
我们的看法
最令人头疼的是，这个漏洞恰恰针对你用来保护自己的更新机制。更新本身是防御手段，但更新过程中也会打开一个风险窗口。积极的一面是安全团队响应迅速。消极的一面是2026年的节奏，7月出现了一连串利用链，10月又有另一个漏洞被利用。把更新当作有空再做的事，等于在与这些数字对赌。
常见问题
WordPress 7.1.4修复了什么？
它修复了更新过程中的一个代码执行漏洞以及多个存储型XSS，还包括一个拒绝服务情况的修复以及根证书的更新。
CVE-2026-119977漏洞需要账户吗？
不需要。据Wordfence报告，无需任何账户。不过攻击者需要利用完整核心更新期间的一个短暂窗口。
WordPress 7.2什么时候发布？
预计12月8日发布。Beta 3已经可用，并包含可应用的修复。
旧版本也会收到补丁吗？
部分会。修复会以回移植的方式应用到直至4.7的所有符合条件的分支，并在准备好后发布。WordPress提醒，只有最新版本才会获得积极支持。
CISA的规定对意大利企业也适用吗？
不适用，11月6日的截止期限只针对美国联邦机构。不过CISA也呼吁私营部门优先安装补丁。
未来几周WordPress值得关注的事项
补丁已经发布，但关注点现在转向较旧的分支以及7.2 beta。最危险的时期是漏洞利用正在流传而网站尚未更新的阶段。
- 检查你仍在使用的旧版本是否已有回移植更新，并规划迁移。
- 查看服务器日志，寻找对setup-config.php等安装路径的请求。
- 在12月8日发布前，先关注Beta 3和7.2的说明，再决定是否投入生产环境更新。
